حلول لشهادات عميل خدمة الويب / أفضل الممارسات

Question

لدي خدمة ويب بسيطة تتمكن من السماح للمطورين في طرف ثالث في API بالوصول إليها. واجهة برمجة التطبيقات في معظمها تتبع مبادئ الراحة.

أنا مهتم بالحلول لجعل API أكثر أمانا عن طريق مطالبة المطورين باستخدام شهادات العميل. هل هناك أي حلول مفتوحة المصدر أو نصيحة تنفيذ أخرى من شأنها أن تساعد ذلك في واجهات برمجة التطبيقات القائمة على الراحة باستخدام شهادات مستوى المستخدم للمصادقة؟

Answer 1

ستكون نصيحتي العامة هي الاحتفاظ ب API منفصلة عن إجراءات المصادقة الخاصة بك. يجب أن يتعامل خادم الويب الخاص بك مع التفاعل المناسب لك.

تعتمد الحلول لجانبك من سيناريو شهادة العميل على بيئتك. أنت لم تنشر ذلك هنا، ولكن يبدو أن بحث Google المستهدف يجب أن يمنحك فكرة عن ما هو ضروري.

نظرا لأنك تقدم واجهة برمجة التطبيقات لأطراف أخرى، إلا أن لديك بعض الاعتبارات فيما يتعلق بدعم البيئة لأولئك المطورين. أنت بصحة جيدة مع أساس الراحة، ومعظم بيئات البرمجة ستسترد مع تلك بشكل جيد إلى حد ما.

من المحتمل أن يختلف دعم شهادة العميل من حيث كفاءة الدعم عبر البيئات، والمنصات، وما إلى ذلك بالإضافة إلى ذلك، فإنك تؤثر الآن على تنفيذ جانب العميل عند طلب شهادات. من المؤكد أن هذا سوف يضعك بالتأكيد في وضع يتطلب منك دعم عملائك والحصول عليها وتشغيلها مع API الخاص بك. وهذا يعني معرفة لغات أخرى وخوادم الويب والأطر، إلخ.

Answer 2

تدعم مكتبة Python HTTP شهادات العميل, ، وكذلك مكتبة Urllib التي تجلس فوقها.